Роль (role) — именованный набор разрешений. Роли назначают пользователям, а edge превращает роли из токена пользователя в решение об авторизации. Общая картина описана в разделе Сущности.
Поля
| Поле | Что это | Правила |
|---|---|---|
| Role ID | Имя, которое хранится у пользователя и в claim roles токена | Строчные латинские буквы, цифры и дефисы, первый символ — буква (^[a-z][a-z0-9-]*$), например accountant или oauth-admin. Подчеркивания, двоеточия и точки не допускаются. Уникален в пределах тенанта. После создания не меняется |
| Description | Подпись роли в консоли | Обязательно, на английском |
| Active | Дает ли роль доступ. Переключатель есть в форме создания и в группе General роли | По умолчанию включено. Неактивная роль остается назначенной пользователям, но edge не выдает ничего из ее разрешений, пока ее снова не включат. В списке она остается с бейджем Inactive. Переключатель заблокирован у роли из Default roles: сначала уберите роль из этого списка |
| Permissions | Разрешения, которые дает роль | Ноль или больше, из того же тенанта |
Список можно отфильтровать по All, Active, Inactive и Default for sign-up.
Ни форма, ни Central API не задают максимальную длину ID и описания.
Note: Подсказка под полем Role ID в консоли говорит «Lowercase letters, numbers, underscore, start with letter». Проверка за ней, и в консоли, и в Central API, принимает дефисы и отклоняет подчеркивания.
Как используется роль
Роли назначаются пользователям в тенанте. Один и тот же человек может быть accountant в одном тенанте и не иметь ролей в другом. Назначение хранится у пользователя в auth, а сама роль живет в central.
ID ролей пользователя в тенанте токена попадают в claim roles при выдаче токена. При запросе edge объединяет разрешения всех этих ролей и решает, какие эндпоинты доступны. Неактивная роль ничего не вносит.
Claim roles фиксируется при выдаче, поэтому снятая с пользователя роль доходит до его следующего выданного или обновленного access token. С изменением того, что роль дает, иначе: edge применяет его после следующего обновления конфигурации, в том числе для уже выданных токенов. См. Когда изменение вступает в силу.
Изменение и удаление
Можно менять описание, состояние Active и разрешения. Role ID виден под заголовком страницы и не редактируется.
Удаление роли стирает только запись роли и требует подтверждения. Назначения у пользователей остаются, но ID больше не соответствует ни одному разрешению и ничего не дает. Чтобы вывести роль из работы и сохранить ее описание, выключите Active. Роль из Default roles на странице Security удалить нельзя: консоль делает кнопку неактивной, а Central отвечает 409. Сначала уберите ее из этого списка.
Что дальше
- Как зарегистрировать роль: форма по шагам.
- Как зарегистрировать пользователя: назначить роли пользователю.
- Разрешение: из чего состоит роль.